إشعار الخصوصية
ما الذي نعالجه، وبتعليمات من، وأين يُخزَّن، وما الذي يمكنك أن تطلب منا فعله به.
آخر تحديث: 29 يونيو 2026
الكتاب الثالث. حماية البيانات والخصوصية والاستضافة واتفاقية معالجة البيانات
أ. المبادئ العامة
تُقرّ HAQQ بأهمية الخصوصية والسرية والأمن السيبراني والسرّ المهني وحماية البيانات في تقديم خدمات تكنولوجيا القانون. وستعالج HAQQ البيانات الشخصية للعميل وفقًا لهذا الكتاب الثالث، والقانون الواجب التطبيق، وتعليمات العميل المُوثَّقة حيثما تتصرّف HAQQ بصفة معالِج.
يشكّل هذا الكتاب الثالث جزءًا من الاتفاقية ويعمل بوصفه اتفاقية معالجة بيانات بالقدر الذي تعالج فيه HAQQ البيانات الشخصية للعميل بالنيابة عن عميل بصفتها معالِجًا أو مزوّد خدمة أو بدور مكافئ.
ب. أدوار الأطراف
في الاشتراكات التجارية، يحدّد العميل عمومًا أغراض ووسائل معالجة بيانات العميل المُقدَّمة إلى المنظومة ويتصرّف بصفة متحكّم. وتعالج HAQQ بيانات العميل تلك بالنيابة عن العميل وتتصرّف بصفة معالِج، باستثناء الحالات التي تحدّد فيها HAQQ أغراض ووسائل المعالجة لأغراض عملياتها التجارية المشروعة الخاصة بها أو لالتزاماتها القانونية.
في الاشتراكات الشخصية، يجوز لـ HAQQ التصرّف بصفة متحكّم فيما يتعلق بمعلومات الحساب، وبيانات الفوترة، وبيانات الاستخدام، ومنع الاحتيال، ودعم العملاء، ومعالجة الامتثال. وإذا رفع مشترِك شخصي بيانات شخصية لطرف خارجي، فقد يتصرّف المشترِك الشخصي بصفة متحكّم في تلك البيانات الخاصة بالطرف الخارجي، وقد تتصرّف HAQQ بصفة معالِج لتلك البيانات.
تتصرّف HAQQ بصفة متحكّم مستقل فيما يتعلق بالمعالجة اللازمة لأغراض فوترتها ومحاسبتها وضرائبها ومنع الاحتيال والامتثال للعقوبات والمراقبة الأمنية والمطالبات القانونية وإدارة المنتجات والامتثال الداخلي والتزامات حوكمة الشركة الخاصة بها. ولا ينطوي تطوير منتجات HAQQ الداخلي على تدريب نماذج الذكاء الاصطناعي أو ضبطها الدقيق (fine-tuning) أو تحسينها باستخدام بيانات العميل أو بيانات القضايا أو المُحفِّزات أو المخرجات أو محتوى المستخدِم، إلا حيثما يُتَّفق على ذلك صراحةً في اتفاقية خطية موقَّعة منفصلة ويسمح به القانون.
ج. التطبيق العابر للولايات القضائية
تحدّد الإقامة الجغرافية للبيانات (data residency) موقع الاستضافة الافتراضي وقد تؤثر في آليات النقل والتزامات الاستضافة المحلية والضمانات التقنية الواجبة التطبيق على بيانات العميل. غير أن قوانين الخصوصية وحماية البيانات الواجبة التطبيق على نشاط معالجة معيّن قد تتوقف أيضًا على عوامل إضافية، منها موقع صاحب البيانات، ومقر إنشاء أو مكان عمل المتحكّم أو المعالِج، والولاية القضائية التي تُقدَّم أو تُستهدَف فيها الخدمات، وقوانين حماية المستهلك أو الخصوصية الآمرة، وطبيعة البيانات المعالَجة، وأي اتفاقية أو عرض رسمي منفصل موقَّع.
ستعالج HAQQ البيانات الشخصية للعميل وفقًا لقوانين حماية البيانات الواجبة التطبيق التي تنطبق على HAQQ بصفتها متحكّمًا أو معالِجًا أو مزوّد خدمة أو بدور مكافئ. ويبقى العميل مسؤولًا عن تحديد القوانين الواجبة التطبيق على جمعه واستخدامه وتقديمه ومعالجته لبيانات العميل والامتثال لها.
تشمل أمثلة قوانين الخصوصية التي قد تكون ذات صلة اللائحة العامة لحماية البيانات (GDPR)، واللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR)، وقانون حماية البيانات الشخصية الإماراتي، والسعودي، والعُماني، ولائحة هيئة تنظيم الاتصالات وتقنية المعلومات الكويتية لحماية خصوصية البيانات، وقانون حماية البيانات الشخصية البحريني، والقانون اللبناني رقم 81 لعام 2018. وهذه الأمثلة استرشادية ولا تستبعد تطبيق غيرها من قوانين الخصوصية أو حماية المستهلك أو الأمن السيبراني أو الاتصالات أو السرّ المهني أو القوانين القطاعية الآمرة.
د. مبادئ المعالجة
تعالج HAQQ البيانات الشخصية وفقًا للمبادئ التالية:
- المشروعية والإنصاف والشفافية. تُعالَج البيانات على أساس قانوني، ويُوصَف ذلك من خلال هذه الشروط والإشعارات المعمول بها.
- تحديد الغرض. تُعالَج البيانات لأغراض محدَّدة وصريحة ومشروعة ومرتبطة بالخدمات.
- تقليل البيانات. تقتصر البيانات المعالَجة على ما هو ملائم ووثيق الصلة وضروري للأغراض المعنيّة.
- الدقة. تُتَّخذ تدابير معقولة لإبقاء البيانات دقيقة ومُحدَّثة حيثما تتحكّم HAQQ في البيانات.
- تحديد مدة التخزين. تُحفَظ البيانات فقط طوال المدة اللازمة، رهنًا بالمتطلبات القانونية والتنظيمية ومتطلبات النسخ الاحتياطي والتدقيق والأمن والفوترة والمنازعات.
- السلامة والسرية. تُحمى البيانات بتدابير تقنية وتنظيمية ملائمة للمخاطر.
- المساءلة. تُبقي HAQQ سياسات وسجلات وقيودًا مصمَّمة لإثبات الامتثال لالتزاماتها.
هـ. فئات البيانات المعالَجة
يجوز لـ HAQQ معالجة الفئات التالية من البيانات:
- بيانات الهوية: الأسماء، والألقاب، والمُعرِّفات، والمُعرِّفات المهنية، والمُعرِّفات الحكومية حيثما تكون مطلوبة، ومُعرِّفات الحساب.
- بيانات الاتصال: عناوين البريد الإلكتروني، وأرقام الهاتف، والعناوين، وتفاصيل المؤسسة، وتفضيلات الاتصال.
- البيانات المهنية: المسمى الوظيفي، والمكتب أو المؤسسة، والعضوية في نقابة المحامين، والتراخيص المهنية، ومجالات الممارسة، وبيانات الاعتماد، ومعلومات الدور.
- ملفات الدعاوى والقضايا: الوثائق القانونية، والعقود، والمذكّرات القضائية، والمذكّرات، والأدلة، والمراسلات، ومواد الكشف القانوني (discovery)، والمستندات، ووثائق المحكمة، وملاحظات القضايا، والمهام، والجلسات، والمحطات الرئيسية، والسجلات ذات الصلة.
- بيانات إدارة علاقات العملاء (CRM): سجلات الموكِّلين، وسجلات جهات الاتصال، وتاريخ العلاقة، وبيانات الفوترة، وسجلات احتساب الوقت، والملاحظات، والاتصالات، وسجلات التفاعل.
- بيانات المصادقة: أسماء المستخدِمين، وكلمات المرور المُجزَّأة (hashed)، والرموز المميّزة (tokens)، وعوامل المصادقة متعددة العوامل، واستجابات تحدّيات الأمان، وبيانات اعتماد الوصول، ومُعرِّفات الجلسات.
- البيانات الوصفية للنظام: عناوين IP، ومُعرِّفات الأجهزة، وأنواع المتصفّحات، وبيانات نظام التشغيل، والسجلات، والطوابع الزمنية، والموقع المُستمَدّ من IP أو إعدادات الجهاز، والتشخيصات، وبيانات الأداء، ومسارات النشاط.
- بيانات الفوترة وواجهة الدفع: بيانات الفواتير، وبيانات الاشتراك، ومراجع المعاملات، وحالة الدفع، والبيانات الضريبية، وبيانات الملف الشخصي للفوترة، والبيانات الوصفية المحدودة للدفع. أما بيانات بطاقة الدفع الكاملة فيعالجها شريك الدفع أو معالِج متوافق مع معيار PCI-DSS، لا HAQQ، إلا حيثما يُنص على ذلك صراحةً.
- بيانات الدعم: تذاكر الدعم، ومحتوى المحادثات، ولقطات الشاشة، وملفات التشخيص، وخطوات إعادة الإنتاج، والسجلات، والاتصالات مع HAQQ.
- البيانات المُستمَدّة: بيانات القياس عن بُعد المجهولة المصدر والمجمَّعة، ومقاييس الاستخدام، وتحليلات الأداء، وبيانات الموثوقية، والتشخيصات الأمنية التي لا تُحدِّد هوية العملاء أو المستخدِمين أو الموكِّلين أو أصحاب البيانات.
و. الفئات الحسّاسة والخاصة من البيانات
لا تشترط HAQQ على العملاء تقديم فئات خاصة من البيانات الشخصية، أو بيانات الجرائم الجنائية، أو البيانات الصحية، أو البيانات البيومترية، أو بيانات الأطفال، أو بيانات الحسابات المالية، أو أدلة التقاضي، أو المعلومات المتمتعة بالحصانة، أو غير ذلك من المعلومات الحسّاسة أو الخاضعة للتنظيم، ما لم تكن تلك البيانات ضرورية لاستخدام العميل المُصرَّح به للمنتجات.
ولمّا كانت المنتجات قد تُستخدَم لإدارة الممارسة القانونية، وإدارة القضايا، واستقبال الموكِّلين، ومساعدة Legal AI، وتخزين الوثائق، والفوترة، والتواصل عبر e-Client، فقد يختار العملاء رفع أو معالجة معلومات حسّاسة ضمن ملفات الدعاوى والقضايا. وحيثما يقدّم عميلٌ بياناتٍ حسّاسة أو من فئة خاصة، يُقرّ العميل ويضمن أن لديه أساسًا قانونيًا، وموافقة صحيحة حيثما تكون مطلوبة، وإشعارات ملائمة، وتفويضًا مهنيًا، وصلاحية سرّية، وأي أساس تنظيمي مطلوب لمعالجة تلك البيانات من خلال المنتجات.
ستطبّق HAQQ التدابير التقنية والتنظيمية الموصوفة في هذه الاتفاقية، لكن يبقى العميل مسؤولًا عن تحديد ما إذا كانت المنتجات ملائمة لحساسية البيانات التي يقدّمها وولايتها القضائية وحالتها التنظيمية. ويجوز لـ HAQQ رفض فئات من البيانات التي تقرّر منطقيًا أنها تنشئ مخاطر قانونية أو أمنية أو تنظيمية أو تشغيلية أو سلامية غير مقبولة، أو تعليقها أو تقييدها أو حذفها أو عزلها أو اشتراط ضمانات إضافية لها، رهنًا بالقانون الواجب التطبيق وأي اتفاقية منفصلة موقَّعة.
ز. أغراض المعالجة
تعالج HAQQ البيانات للأغراض التالية:
- تسجيل الحساب، والتحقّق من الهوية، والمصادقة، وإدارة الوصول؛
- تقديم المنتجات والخدمات وإدارتها؛
- إدارة الدعاوى والقضايا عبر e-Firm؛
- استرجاع Legal AI، والفهرسة، والتلخيص، والمساعدة في الصياغة، والاستخلاص، والتصنيف، والمساعدة في سير العمل، والإسناد السياقي الخاص بالمستأجر (tenant)؛
- التواصل عبر e-Client، وتبادل الوثائق، وإظهار الفواتير، ووظائف بوابة الموكِّلين؛
- إدراج الملف الشخصي في Legal Directory، والبحث، والاستفسار، ووظائف المطابقة؛
- سير العمل المؤسسي في eBar؛
- وظائف الطبقة التكنولوجية في eWallet ودعم واجهة الدفع؛
- الفوترة، وإصدار الفواتير، وإدارة الاشتراك، والمحاسبة، والضرائب، والتحصيل؛
- الدعم، واستكشاف الأخطاء وإصلاحها، والصيانة، والاستجابة للحوادث، وتحسين الخدمة؛
- المراقبة الأمنية، ومنع الاحتيال، وكشف إساءة الاستخدام، وفحص العقوبات، ودعم مكافحة غسل الأموال وتمويل الإرهاب (AML/CTF) حيثما ينطبق، والامتثال؛
- التدقيق، وإدارة المخاطر، والمطالبات القانونية، والاستجابة التنظيمية، وإنفاذ هذه الاتفاقية؛
- بيانات القياس عن بُعد المجهولة المصدر والمجمَّعة لأداء الخدمة، والموثوقية، وتخطيط السعة، والتشخيصات، والأمن، والتحليلات التشغيلية؛
- أي غرض آخر يُصرّح به العميل أو يقتضيه القانون.
ح. الأساس القانوني
حيثما تتصرّف HAQQ بصفة متحكّم، يجوز لها الاعتماد على أساس قانوني واحد أو أكثر، بما في ذلك تنفيذ عقد، أو الامتثال لالتزامات قانونية، أو المصالح المشروعة، أو الموافقة، أو إثبات مطالبات قانونية أو الدفاع عنها، أو غير ذلك من الأسس القانونية المعترَف بها بموجب القانون الواجب التطبيق.
حيثما تتصرّف HAQQ بصفة معالِج، يكون العميل مسؤولًا عن تحديد وتوثيق الأساس القانوني للبيانات الشخصية للعميل المُقدَّمة إلى المنتجات. وتعالج HAQQ تلك البيانات بناءً على تعليمات العميل المُوثَّقة، بما في ذلك هذه الاتفاقية، ونماذج الطلب المعمول بها، والعروض الرسمية، وتهيئات المنصّة، وإجراءات المستخدِمين المُصرَّح لهم.
ط. التزامات المعالِج
حيثما تتصرّف HAQQ بصفة معالِج، يتعيّن عليها:
- معالجة البيانات الشخصية للعميل بناءً على تعليمات مُوثَّقة من العميل فقط، ما لم يقتضِ القانون خلاف ذلك؛
- ضمان التزام الأشخاص المُصرَّح لهم بمعالجة البيانات الشخصية للعميل بالتزامات السرية؛
- تنفيذ تدابير تقنية وتنظيمية ملائمة حسبما هو موصوف في هذه الاتفاقية؛
- مساعدة العميل، مع مراعاة طبيعة المعالجة، في الاستجابة لطلبات أصحاب البيانات حيثما يقتضي القانون ذلك؛
- إخطار العميل بخروقات البيانات الشخصية المؤكَّدة وفقًا للقسم (ع)؛
- المساعدة في تقييمات أثر حماية البيانات والمشاورات مع الجهات التنظيمية حيثما يقتضي القانون ذلك ويكون لازمًا منطقيًا؛
- إتاحة المعلومات المعقولة اللازمة لإثبات الامتثال، رهنًا بالسرية والأمن والتناسب؛
- إعادة البيانات الشخصية للعميل أو حذفها أو إخفاء مصدرها أو جعلها غير قابلة للوصول وفقًا للقسم (ص)؛ و
- فرض التزامات حماية بيانات ملائمة على المعالِجين الفرعيين.
ي. التزامات العميل
يتعيّن على العميل:
- جمع بيانات العميل واستخدامها وتقديمها ومعالجتها بصورة قانونية؛
- تقديم جميع الإشعارات والحصول على جميع الموافقات والأذونات وتفويضات الموكِّلين والموافقات المهنية والأسس القانونية اللازمة لاستخدام المنتجات؛
- ضمان ألا تنتهك بيانات العميل حقوقًا أو تخالف القانون؛
- تهيئة الأذونات وحقوق الوصول وإعدادات الاحتفاظ وميزات المنتج على نحو ملائم؛
- الاستجابة لطلبات أصحاب البيانات حيثما يكون العميل متحكّمًا؛
- الحفاظ على أمن ملائم لأنظمته وأجهزته وبيانات اعتماده ومستخدِميه؛
- إخطار HAQQ فورًا بأي حوادث مشتبه بها تؤثر في المنتجات أو في بيانات العميل؛
- الامتثال للالتزامات المعمول بها بشأن السرّ المهني والسرية والحصانة والمحكمة والنقابة وموافقة الموكِّل؛ و
- تعويض HAQQ عن المطالبات الناشئة عن معالجة العميل غير القانونية، أو عن بيانات العميل، أو عن إخلاله بهذه الاتفاقية، رهنًا بالكتاب الرابع عشر.
ك. حقوق أصحاب البيانات
ستيسّر HAQQ طلبات ممارسة الحقوق حسبما تقتضيه قوانين حماية البيانات الواجبة التطبيق. وقد تشمل حقوق أصحاب البيانات الوصول، والتصحيح، والحذف، والتقييد، وقابلية النقل، والاعتراض، وسحب الموافقة، وتقديم شكوى إلى سلطة إشرافية.
ينبغي تقديم الطلبات إلى info@haqq.ai أو إلى عنوان آخر تحدّده HAQQ. وحيثما تتصرّف HAQQ بصفة معالِج، يجوز لها إحالة الطلب إلى العميل والتصرّف بناءً على تعليماته المُوثَّقة، ما لم يقتضِ القانون منها الاستجابة مباشرةً. ويجوز لـ HAQQ اشتراط تحقّق معقول من الهوية، ويجوز لها رفض الطلبات المتكرّرة أو الظاهرة عدم الأساس أو المفرطة أو غير القانونية، أو فرض رسوم عليها، حيثما يسمح القانون بذلك.
ل. المعالِجون الفرعيون
يصرّح العميل لـ HAQQ بالاستعانة بمعالِجين فرعيين فيما يتعلق بالخدمات. وقد يشمل المعالِجون الفرعيون مزوّدي الاستضافة السحابية، ومزوّدي البنية التحتية، ومزوّدي تخزين البيانات، ومزوّدي التحليلات، ومزوّدي واجهة الدفع، ومزوّدي الاتصالات، وأنظمة الدعم، ومزوّدي البنية التحتية للذكاء الاصطناعي، وخدمات الهوية، وأدوات الأمن، وغيرهم من مزوّدي الخدمات اللازمين منطقيًا للمنظومة.
تختار HAQQ المعالِجين الفرعيين ببذل العناية المعقولة، وتبرم معهم اتفاقيات خطية تفرض التزامات حماية بيانات لا تقلّ حمايتها عمّا تقتضيه قوانين حماية البيانات الواجبة التطبيق. وتبقى HAQQ مسؤولة عن أفعال المعالِجين الفرعيين وإغفالاتهم بالقدر الذي يقتضيه القانون وهذه الاتفاقية.
تُبقي HAQQ قائمة بالمعالِجين الفرعيين أو آلية إشعار مكافئة تحدّد المعالِجين الفرعيين الجوهريين ووظائفهم وموقع أو منطقة معالجتهم حيثما يكون ذلك عمليًا تجاريًا. ويجوز لـ HAQQ تقديم القائمة عبر المنصّة، أو مركز الثقة (Trust Center)، أو الإشعار بالبريد الإلكتروني، أو جدول تعاقدي، أو بناءً على طلب خطي.
يجوز للعميل الاعتراض بحسن نية على معالِج فرعي جديد بإخطار HAQQ كتابةً خلال خمسة عشر (15) يومًا من الإشعار. ويجب أن يحدّد الاعتراض أساسًا قانونيًا أو أمنيًا أو سرّيًا أو متعلقًا بالمسؤولية المهنية أو تنظيميًا معقولًا. وإذا تعذّر حلّ الاعتراض منطقيًا، جاز لـ HAQQ اتخاذ ترتيبات بديلة معقولة تجاريًا، أو جاز للعميل إنهاء المنتج أو نشاط المعالجة المتأثر فقط، دون غرامة، رهنًا بسداد الرسوم غير المتنازَع عليها المستحقة قبل الإنهاء.
م. التدابير الأمنية
تنفّذ HAQQ وتُبقي تدابير تقنية وتنظيمية ملائمة للمخاطر. وقد تشمل التدابير:
- التشفير أثناء النقل وفي حالة السكون؛
- ضوابط الوصول القائمة على الأدوار؛
- عزل المستأجرين (tenant isolation)؛
- التسجيل والمراقبة؛
- إدارة الثغرات؛
- مراجعات الوصول؛
- الوصول بأقل امتياز؛
- إجراءات الاستجابة للحوادث؛
- تدابير النسخ الاحتياطي والتعافي من الكوارث؛
- التزامات السرية الخاصة بالعاملين؛
- التدريب الأمني؛
- ممارسات التطوير الآمن؛
- الأمن المادي والبيئي عبر مزوّدي الاستضافة؛
- اختبار الاختراق، أو التقييمات، أو التدقيقات، أو مراجعات الشهادات حيثما ينطبق ذلك؛ و
- مفاتيح التشفير المُدارة من العميل حيثما تكون متاحة لمستويات الاشتراك المعمول بها.
أي إشارة إلى SOC 2 أو ISO/IEC 27001 أو ISO/IEC 42001 أو اللائحة العامة لحماية البيانات (GDPR) أو غيرها من الأطر تعني أن برنامج HAQQ للأمن والخصوصية وحوكمة الذكاء الاصطناعي مصمَّم للمواءمة مع الضوابط أو الالتزامات ذات الصلة. وهي ليست إقرارًا بأن كل منتج أو ميزة أو موقع استضافة أو نشر مُستضاف لدى شريك أو بيئة مُدارة من العميل أو ميزة تجريبية (beta) أو تكامل أو خدمة خارجية مشمول بنطاق الشهادة أو التدقيق نفسه.
ن. عمليات النقل الدولية
تقدّم HAQQ إقامة جغرافية إقليمية للبيانات حيثما تكون متاحة، وتستضيف البيانات داخل المنطقة افتراضيًا حيثما تلتزم بذلك صراحةً في نموذج طلب أو عرض رسمي أو تهيئة منصّة. وقد تحدث عمليات نقل عابرة للحدود حيثما يكون ذلك ضروريًا للدعم أو الأمن أو الفوترة أو خدمات المعالِجين الفرعيين أو التكرار (redundancy) أو الامتثال القانوني أو تشغيل الخدمات.
حيثما تقتضي قوانين حماية البيانات الواجبة التطبيق ذلك، قد تعتمد عمليات النقل على قرارات الكفاية (adequacy decisions)، أو الشروط التعاقدية القياسية (SCCs)، أو ملاحق المملكة المتحدة، أو ضمانات تعاقدية مكافئة، أو تدابير تكميلية، أو موافقة صريحة، أو الضرورة لتنفيذ العقد، أو إثبات مطالبات قانونية أو الدفاع عنها، أو غير ذلك من آليات النقل القانونية.
حيثما تقتضي قوانين حماية البيانات الواجبة التطبيق ذلك، ستُجري HAQQ أو تعتمد على تقييمات أثر النقل، والضمانات التكميلية، والتشفير، وإخفاء الهوية الجزئي (pseudonymization)، وضوابط الوصول، والالتزامات التعاقدية، وتقييمات البيئة القانونية المصمَّمة لتوفير مستوى حماية ملائم لعملية النقل.
س. حقوق التدقيق وأدلة الامتثال
يجوز للمشترِكين التجاريين طلب أدلة امتثال معقولة تتعلق بالتزامات HAQQ الأمنية والسرّية والمتعلقة بالمعالجة. ويجوز للمشترِكين من فئة المؤسسات (Enterprise)، والعملاء الخاضعين للتنظيم، والعملاء الذين عليهم التزام تدقيق قانوني أو تنظيمي محدَّد، طلب مواد تدقيق أو إجراءات تدقيق إضافية، رهنًا بالسرية والأمن والتناسب والتوافر والنطاق والرسوم المعمول بها.
يجوز لـ HAQQ تقديم أدلة الامتثال عبر ملخّصات تنفيذية، أو شهادات، أو ملخّصات تدقيق، أو أوراق بيضاء أمنية، أو مواد مركز الثقة، أو ملخّصات سياسات، أو استبيانات. وقد تتطلب تقارير التدقيق الكاملة، أو تفاصيل اختبار الاختراق، أو المواد الأمنية الحسّاسة إبرام اتفاقية عدم إفصاح متبادلة، وقد تُنقَّح (redacted) لحماية الأمن أو السرية أو الحصانة أو حقوق الأطراف الخارجية.
لا يُسمح بالتدقيقات الميدانية أو عن بُعد إلا في ظروف استثنائية حيث تكون المواد الخطية غير كافية للوفاء بالتزام قانوني أو تنظيمي آمر. ويجب أن تكون مثل هذه التدقيقات محدودة النطاق، وأن تُجرى مرة واحدة سنويًا على الأكثر ما لم يقتضِ القانون خلاف ذلك، رهنًا بإشعار مدته ستون (60) يومًا على الأقل، وأن تُجرى خلال ساعات العمل الاعتيادية، وألا تعطّل عمليات HAQQ، وأن يُجريها مدققون مستقلون مُلزَمون بالسرية.
ع. الإخطار بالخروقات
يعني خرق البيانات الشخصية (Personal Data Breach) خرقًا أمنيًا يؤدي إلى الإتلاف أو الفقدان أو التغيير العَرَضي أو غير القانوني للبيانات الشخصية للعميل التي تعالجها HAQQ، أو الإفصاح غير المُصرَّح به عنها أو الوصول غير المُصرَّح به إليها.
عند علم HAQQ بخرق مؤكَّد للبيانات الشخصية يؤثر في البيانات الشخصية للعميل التي يكون العميل متحكّمًا فيها، ستُخطِر HAQQ العميل دون تأخير لا مبرّر له، وحيثما يكون ممكنًا، خلال اثنتين وسبعين (72) ساعة. ويُقصد بـ "العلم" النقطة التي تبلغ فيها HAQQ درجة معقولة من اليقين بأن خرقًا قد وقع وأثّر في البيانات الشخصية للعميل.
سيتضمّن إخطار HAQQ، بالقدر المعلوم: طبيعة الخرق، وفئات أصحاب البيانات والسجلات المتأثرة وعددها التقريبي، والعواقب المحتملة، والتدابير المُتَّخذة أو المقترَحة، وجهة الاتصال، والتوصيات للتخفيف من الآثار السلبية. وقد تُقدَّم المعلومات على مراحل بحسب توافرها.
أما التنبيهات الأمنية، والهجمات الفاشلة، ومحاولات الاختراق المحجوبة، والتقارير الروتينية عن الثغرات، أو الحوادث التي لا تمسّ البيانات الشخصية للعميل، فستُعالَج بموجب برنامج HAQQ للاستجابة للحوادث، لكنها لن تشكّل بالضرورة إخطارًا بخرق للبيانات الشخصية.
يكون العميل مسؤولًا عن تحديد ما إذا كان الإخطار إلى الجهات التنظيمية أو المحاكم أو الهيئات المهنية أو الموكِّلين أو أصحاب البيانات مطلوبًا، ما لم يكن على HAQQ التزام قانوني مباشر بالإخطار. وستقدّم HAQQ مساعدة معقولة حيثما يكون ذلك مطلوبًا.
يتحمّل كل طرف تكاليفه الخاصة المرتبطة بإدارة الخرق، ما لم يكن الخرق ناشئًا بصورة رئيسية عن إخلال الطرف الآخر بهذه الاتفاقية أو بالقانون الواجب التطبيق، وفي هذه الحالة يتحمّل الطرف المسؤول التكاليف المعقولة والقابلة للإثبات، رهنًا بالكتاب الرابع عشر.
ص. الاحتفاظ والتصدير والحذف
ما لم تقتضِ خلاف ذلك قوانين حماية البيانات الواجبة التطبيق، أو حجز قانوني (legal hold)، أو قانون ضريبي، أو متطلبات تدقيق، أو التزامات فحص العقوبات، أو التزامات مكافحة غسل الأموال، أو أمر محكمة، أو التزام مهني، أو اتفاقية منفصلة موقَّعة، ستوفّر HAQQ نافذة تصدير مدتها تسعون (90) يومًا عقب إنهاء الاشتراك المعنيّ أو انتهائه ليسترجع العميل بياناته خلالها.
عقب انتهاء نافذة التصدير البالغة تسعين (90) يومًا، ستحذف HAQQ بيانات العميل من أنظمة الإنتاج الفعلية، أو تخفي مصدرها، أو تجعلها غير قابلة للوصول، خلال فترة معقولة تجاريًا، رهنًا بالتزامات الاحتفاظ القانونية والتنظيمية والأمنية والمتعلقة بالنسخ الاحتياطي والتعافي من الكوارث والفوترة والتدقيق والمنازعات والامتثال.
قد تبقى البيانات في أرشيفات النسخ الاحتياطي أو التعافي من الكوارث المُشفَّرة لفترة لا تتجاوز سنة (1) واحدة من الإنهاء، ما لم تقتضِ فترة أطول قانونٌ، أو حجز تقاضٍ، أو تحقيق أمني، أو سلامة التعافي من الكوارث، أو بنية نسخ احتياطي غير قابلة للتعديل (immutable backup). ولن تُستعاد بيانات النسخ الاحتياطي إلى الإنتاج إلا لأغراض التعافي من الكوارث أو الأمن أو الاستمرارية أو الامتثال القانوني أو التحقيق. وإذا استُعيدت بيانات النسخ الاحتياطي، ستعيد HAQQ تطبيق إجراءات الحذف أو إخفاء المصدر وفقًا لهذا القسم.
يجوز لـ HAQQ الاحتفاظ بالبيانات المُستمَدّة إلى أجل غير مسمّى، شريطة أن تكون مجهولة المصدر أو مجمَّعة على نحوٍ لا رجعة فيه وألا تشكّل بيانات شخصية بموجب قوانين حماية البيانات الواجبة التطبيق.
بناءً على طلب خطي، يجوز لـ HAQQ تقديم تأكيد معقول للحذف، رهنًا بالقيود السرّية والأمنية والقانونية والتقنية.
ق. جدول معالجة البيانات
- موضوع المعالجة. تعالج HAQQ البيانات الشخصية للعميل لتقديم المنتجات والخدمات المرتبطة بها وتأمينها ودعمها وصيانتها وتحسينها وإدارتها بموجب هذه الاتفاقية ونماذج الطلب والعروض الرسمية وبيانات العمل المعمول بها.
- مدة المعالجة. تستمر المعالجة طوال مدة الاشتراك أو الخدمة المعنيّة، وأي فترة احتفاظ أو تصدير أو نسخ احتياطي أو فترة قانونية أو تنظيمية أو تدقيقية أو متعلقة بالمنازعات أو الامتثال لاحقة للإنهاء موصوفة في هذه الاتفاقية.
- طبيعة المعالجة وغرضها. قد تشمل المعالجة الاستضافة، والتخزين، والاسترجاع، والإرسال، والفهرسة، وضبط الوصول، والمصادقة، والتشفير، والدعم، واستكشاف الأخطاء وإصلاحها، والفوترة، والتحليلات باستخدام بيانات قياس عن بُعد مجهولة المصدر ومجمَّعة، والاسترجاع والتوليد بمساعدة الذكاء الاصطناعي، ومعالجة الوثائق، وإدارة القضايا، والتواصل مع الموكِّلين، ودعم واجهة الدفع، والترحيل، والتكامل، والمراقبة الأمنية.
- فئات أصحاب البيانات. قد يشمل أصحاب البيانات العملاء، والمستخدِمين المُصرَّح لهم، ومالكي الحسابات، والمسؤولين، والموظفين، والمتعاقدين، والمحامين، وموكِّلي الخدمات القانونية، والأطراف المقابلة، والشهود، وموظفي المحاكم، والموردين، وجهات الاتصال، والموكِّلين المحتمَلين، والمهنيّين المُدرَجين، وأعضاء نقابات المحامين، والعملاء النهائيين، وموظفي الشركاء، والأفراد الذين تظهر بياناتهم في بيانات العميل.
- فئات البيانات الشخصية. قد تشمل البيانات الشخصية بيانات الهوية، وبيانات الاتصال، وبيانات المصادقة، والبيانات المهنية، وبيانات الحساب، وبيانات إدارة علاقات العملاء، وبيانات الفوترة، وبيانات القضايا، وملفات الدعاوى، والوثائق القانونية، والاتصالات، والبيانات الوصفية، والسجلات، وبيانات الاستخدام، وبيانات واجهة الدفع، وبيانات "اعرف عميلك" أو بيانات الاستقبال، وغيرها من البيانات التي يقدّمها العميل.
- البيانات الحسّاسة. قد تُعالَج بيانات حسّاسة إذا قدّمها العميل فيما يتعلق بقضايا قانونية، أو استقبال موكِّلين، أو سير عمل مهني، أو أدلة، أو تقاضٍ، أو مسائل أسرية، أو مسائل جنائية، أو مسائل متعلقة بالصحة، أو مسائل مالية، أو مسائل تتعلق بالعمل، أو حالات استخدام أخرى. ويكون العميل مسؤولًا عن ضمان وجود أساس قانوني وضمانات ملائمة لتلك البيانات.
- المعالِجون الفرعيون. يجوز لـ HAQQ الاستعانة بمعالِجين فرعيين حسبما هو موصوف في القسم (ل). وستُتاح قائمة المعالِجين الفرعيين الحالية أو ما يعادلها من معلومات عبر المنصّة، أو مركز الثقة، أو بناءً على طلب خطي، أو عبر جدول تعاقدي.
- التدابير التقنية والتنظيمية. قد تشمل التدابير التشفير أثناء النقل وفي حالة السكون، وعزل المستأجرين، وضوابط الوصول، والأذونات القائمة على الأدوار، والتسجيل، والمراقبة، وإدارة الثغرات، والاستجابة للحوادث، وضوابط النسخ الاحتياطي والتعافي من الكوارث، وسرية العاملين، والتدريب، والأمن المادي، وإجراءات التدقيق.
- عمليات النقل. تخضع عمليات النقل الدولية للقسم (ن)، وقد تعتمد على قرارات الكفاية، أو الشروط التعاقدية القياسية، أو ملاحق المملكة المتحدة، أو ضمانات تعاقدية مكافئة، أو تدابير تكميلية، أو غير ذلك من آليات النقل القانونية.
- الحذف أو الإعادة. تخضع الإعادة والتصدير والحذف وإخفاء المصدر والاحتفاظ بالنسخ الاحتياطية وتأكيد الحذف للقسم (ص) والكتاب الرابع عشر.